在 Google Cloud IAM 中跟踪用户权限

Question

在某个项目中，如何查看“WHO”分配的“WHOM”、“WHAT”角色或权限？ 示例：第 1 个人是 IAM 管理员，并被授予第 2 个人 BigQuery 管理员角色。有没有办法追踪第 1 个人授予第 2 个人相应的角色？

Answer 1

您可以通过云控制台>日志记录>日志查看器中的高级过滤器搜索IAM setpolicy日志：

protoPayload.methodName="SetIamPolicy"
protoPayload.serviceName="cloudresourcemanager.googleapis.com" 
protoPayload.serviceData.policyDelta.bindingDeltas.member="Person2 account"
protoPayload.request.policy.bindings.role="role name"

展开日志，Person 1 账户将显示在“authenticationInfo”部分，请注意 IAM setpolicy 日志保留 400 天。